Apache-OFBiz-Directory-Traversal-exploit

Apache OFBiz 18.12.12 तक के संस्करणों में एक गंभीर (critical) के रूप में वर्गीकृत भेद्यता पाई गई है। यह मुद्दा एक अज्ञात कार्यक्षमता को प्रभावित करता है। किसी अज्ञात इनपुट के साथ की गई छेड़छाड़ path traversal भेद्यता की ओर ले जाती है। उत्पाद एक पाथनाम (pathname) बनाने के लिए बाहरी इनपुट का उपयोग करता है, जिसका उद्देश्य किसी ऐसी फ़ाइल या निर्देशिका की पहचान करना होता है जो किसी प्रतिबंधित पैरेंट निर्देशिका के अंतर्गत स्थित होती है, लेकिन उत्पाद पाथनाम के भीतर मौजूद विशेष तत्वों को ठीक से निष्प्रभावी नहीं करता है, जिसके कारण पाथनाम प्रतिबंधित निर्देशिका के बाहर किसी स्थान पर हल हो सकता है। इसका प्रभाव गोपनीयता (confidentiality), अखंडता (integrity) और उपलब्धता (availability) पर पड़ता है।

परिचय

• CVE-2024-32113 भेद्यता एक विशेष रूप से तैयार किए गए HTTP अनुरोध को भेजकर Apache OFBiz सर्वर पर मनमाना कोड निष्पादन (arbitrary code execution) की अनुमति देती है।
• इस अनुरोध में, हमलावर Apache OFBiz सर्वर पर etc/passwd फ़ाइल को इंगित करने के लिए ../../../../../../etc/passwd पैरामीटर का उपयोग करता है।
• जब Apache OFBiz सर्वर इस अनुरोध को संसाधित करता है, तो यह etc/passwd फ़ाइल को पढ़ने का प्रयास करेगा, जिसमें सर्वर पर उपयोगकर्ताओं के बारे में संवेदनशील जानकारी होती है।
• इस जानकारी का उपयोग सर्वर पर आगे के हमले करने के लिए किया जा सकता है, जैसे डेटा चुराना, उसे संशोधित करना, या यहाँ तक कि उसे हटाना भी।

Poc